የትራፊክ ፍሰቶችን በእይታ ለመገምገም እና ከአውታረ መረብ እንቅስቃሴ ጋር የተያያዙ መረጃዎችን ለመፈለግ Arkime 5.0 የኔትወርክ ፓኬጆችን ለመያዝ፣ ለማከማቸት እና ለመጠቆም የስርአቱ ልቀት ታትሟል። ፕሮጀክቱ በመጀመሪያ የተገነባው በAOL ሲሆን ዓላማውም በአገልጋዮቹ ላይ መሰማራትን የሚደግፉ እና በሴኮንድ በአስር ጊጋቢት ፍጥነት ትራፊክን ለማስኬድ የሚያስችል ክፍት ምትክ የንግድ አውታረ መረብ ፓኬት ማቀነባበሪያ መድረኮችን መፍጠር ነው። የትራፊክ ቀረጻ አካል ኮድ በ C ውስጥ ተጽፏል, እና በይነገጹ በ Node.js/JavaScript ተተግብሯል. የምንጭ ኮድ በApache 2.0 ፍቃድ ስር ተሰራጭቷል። ድጋፎች በሊኑክስ እና ፍሪቢኤስዲ ላይ ይሰራሉ። ዝግጁ የሆኑ ፓኬጆች ለአርክ ሊኑክስ፣ RHEL/CentOS እና ኡቡንቱ ተዘጋጅተዋል።
አርኪሜ የፒሲኤፒ ትራፊክን ለመቅረጽ እና ለመጠቆም የሚረዱ መሳሪያዎችን ያካትታል፣ እና እንዲሁም የመረጃ ጠቋሚ መረጃን በፍጥነት ለመድረስ መሳሪያዎችን ያቀርባል። መደበኛ PCAP ቅርጸት መጠቀም እንደ Wireshark ካሉ የትራፊክ ተንታኞች ጋር ያለውን ውህደት በእጅጉ ያቃልላል። የተከማቸ የውሂብ መጠን የተገደበው ባለው የዲስክ ድርድር መጠን ብቻ ነው። የክፍለ ጊዜ ሜታዳታ በElasticsearch ወይም OpenSearch ሞተር ላይ ተመስርቶ በክላስተር ውስጥ ተጠቁሟል። የትራፊክ ቀረጻው አካል ባለብዙ ክር ሁነታ ይሰራል እና የክትትል ተግባራትን ይፈታል, ፒሲኤፒ መጣያዎችን ወደ ዲስክ መጻፍ, የተያዙ ፓኬቶችን መተንተን እና ስለ ክፍለ-ጊዜዎች ሜታዳታ (SPI, Stateful packet inspection) እና ፕሮቶኮሎችን ወደ Elasticsearch/OpenSearch ክላስተር መላክ. ፒሲኤፒ ፋይሎችን በተመሰጠረ መልኩ ማከማቸት ይቻላል።
የተከማቸ መረጃን ለመተንተን፣ ናሙናዎችን ለመፈለግ፣ ለመፈለግ እና ወደ ውጪ ለመላክ የሚያስችል የድር በይነገጽ ቀርቧል። የድር በይነገጽ በርካታ የመመልከቻ ሁነታዎችን ያቀርባል - ከአጠቃላይ ስታቲስቲክስ ፣ የግንኙነት ካርታዎች እና የእይታ ግራፎች በአውታረ መረብ እንቅስቃሴ ለውጦች ላይ መረጃ ያለው መረጃ ወደ ግለሰባዊ ክፍለ-ጊዜዎች ለማጥናት መሳሪያዎች ፣ ጥቅም ላይ የዋሉ ፕሮቶኮሎች አውድ ውስጥ እንቅስቃሴን በመተንተን እና ከ PCAP መጣያ መረጃዎችን መተንተን። ስለተያዙ እሽጎች በ PCAP ቅርጸት እና የተበታተኑ ክፍለ ጊዜዎችን በJSON ቅርጸት ወደ የሶስተኛ ወገን መተግበሪያዎች ለመላክ የሚያስችል ኤፒአይ እንዲሁ ቀርቧል።
በአዲሱ ስሪት:
- በተለያዩ ክፍት ምንጮች (OSINT) የሚገኙ ስለ ብዙ ነገሮች መረጃን በአንድ ጊዜ ለመሰብሰብ በ Cont3xt አገልግሎት አማካይነት የተጣመሩ የፍለጋ ጥያቄዎችን የመላክ ችሎታ ታክሏል።
- የኔትወርክ ፕሮቶኮሎችን እና አፕሊኬሽኖችን ለመለየት ለJA4 እና JA4+ የትራፊክ አሻራ ዘዴዎች ድጋፍ ታክሏል።
- ስለ ክፍለ-ጊዜው ዝርዝር መረጃ ያለው የማገጃው ንድፍ ተለውጧል, ይህም ጥቅም ላይ ያልዋለ ቦታን ይቀንሳል እና ለትልቅ ስክሪኖች ባለ ሁለት አምድ አቀማመጥን ተግባራዊ ያደርጋል.
- ተቆልቋይ ብሎኮች በፋይሎች፣ ታሪክ እና ስታትስቲክስ ትሮች ላይ በአንድ ጊዜ ለመፈለግ በይነገጹ ስታቲስቲክስን ለማየት (ተመልካች) ተጨምረዋል።
- የፈቃድ ስርዓቱ የተዋሃደ እና በተለየ ሞጁል ተከፍሏል፣ እሱም አሁን በሁሉም የአርኪም መተግበሪያዎች ውስጥ ጥቅም ላይ ይውላል። ከስም-አልባ የፍቃድ ሁነታ ይልቅ፣ የመፍጨት ዘዴው በነባሪነት ጥቅም ላይ ይውላል። አዲስ የፈቀዳ ሁነታዎች ተጨምረዋል፡ መሰረታዊ፣ ቅጽ፣ መሰረታዊ+ ቅጽ፣ መሰረታዊ+oidc፣ headerOnly፣ header+digest እና header+basic።
- ሁሉም አፕሊኬሽኖች በተለያዩ ቅርፀቶች (ini ፣ json ፣ yaml) ቅንጅቶችን ማቀናበርን ወደ ሚደግፍ እና ከተለያዩ ምንጮች ለምሳሌ ከዲስክ ፣በአውታረ መረቡ በ HTTPS ወይም ከOpenSearch/Elasticsearch ወደሚችል ወደተዋሃደ የውቅር ንዑስ ስርዓት ተላልፈዋል። .
- የተቀመጠ (ከመስመር ውጭ) PCAP ወደ አገር ውስጥ ለማስገባት እና በዩአርኤል በ HTTPS ወይም በአማዞን ኤስ 3 ማከማቻ ለማውረድ ተጨማሪ ድጋፍ በአካባቢያዊ ስርዓት ላይ ማስቀመጥ ሳያስፈልግ።
ምንጭ: opennet.ru